Cybersecurity and Digital Forensics for Multimodal Transport Accident Investigation: A Governance, Risk and Compliance Framework

当火车脱轨、飞机坠毁或轮船撞上码头时，寻找答案的过程向来依赖于物理线索：扭曲的金属、断裂的铁轨以及幸存者的证词。但在过去的二十年里，我们运输人员和货物的方式发生了根本性的变化。现代运输系统不再仅仅是机器；它们是软件、传感器和数字通信相互交织的复杂网络。火车的速度、船舶的航向或卡车的路线现在都由代码管理。这种转变意味着，当事故发生时，最关键的证据往往仅存在于数字记录中——包括计算机观察到的日志、来自传感器的遥测数据，以及控制中心之间发送的消息。然而，这种对数字的依赖产生了一个新问题。正如物理现场会被雨水或脚印污染一样，数字证据也可能被网络攻击篡改、删除或隐藏。如果调查人员无法确定一份数字记录是否真实，或者无法在法律允许的情况下快速获取相关数据，那么关于事故原因的真相可能永远无法触及。

这种不确定性正是来自印度肖布希特工程技术学院（Shobhit Institute of Engineering and Technology）研究人员的一项新研究所解决的核心挑战。作者 Abidina Tijjani Kalarawi、Sadeeq Muhammad 和 Mamta Bansal 指出，目前的事故调查尚未为这种数字现实做好准备。在许多情况下，网络安全和数字取证专家介入得太晚，此时数字证据可能已经被破坏或丢失。此外，关于谁被允许访问这些敏感系统的规则往往不明晰，导致了导致调查停滞的延迟或法律纠纷。研究人员提出了一种新的思考方式，即不再将网络安全和数字取证视为技术性的附加组件，而是将其作为调查从第一刻起的核心组成部分。他们称这种方法为“治理、风险与合规”（Governance, Risk, and Compliance）框架。简单来说，这意味着要建立明确的规则来规定谁有权采取行动，不断评估数字证据本身可能存在伪造或被篡改的风险，并确保每一步操作都符合法律，从而使调查结果能在法庭上使用。

为了测试这一理念在实践中是否可行，团队并没有等待现实世界的灾难发生。相反，他们构建了一个数字模拟环境，以观察其新规则如何处理大量的访问请求。他们创建了一个涉及一万个假设请求的情景，这些请求来自试图查看运输系统不同部分的调查人员。每个请求都附带一组条件，例如调查人员的角色、时间、其计算机的健康状况，以及他们是否在异常位置访问系统。随后，模拟系统应用研究人员的新框架来决定是否批准或拒绝每个请求。该系统就像一系列安全门。首先，它检查请求者是否拥有查看特定数据的相应职位和权限。如果通过了这一关，系统会检查该请求是否违反了有关保护证据的法律规则。最后，它根据请求的上下文计算一个风险评分。如果请求来自看起来不健康的设备或与调查人员通常模式不符的位置，系统就会将其标记为需要额外验证或直接拒绝。

模拟结果显示，该框架为处理数字证据提供了一条清晰且可辩护的路径。在这一万个请求中，约 53% 的请求被允许立即进行。大约 39% 的请求被拒绝，原因是请求者没有权限查看该数据。一小部分但具有显著意义的部分（约 4%）被要求通过第二因素（如发送到手机的代码）来证明身份，因为系统检测到了中等水平的风险。另有 3% 的请求被拦截，因为系统的风险计算表明发生了异常情况；最后 1% 的请求被拒绝，是因为该请求试图更改或删除证据，而这是严格禁止的。这些数字并不是对事故发生频率的预测，而是证明了所提议的规则可以快速且一致地处理数千种复杂情况。模拟证明，在确保调查人员能够查看数据与保护数据免受篡改或未经授权访问之间，实现平衡是可能的。

该研究还强调了我们理解运输事故原因方式的一个关键转变。在过去，调查人员可能会认为故障是由零件损坏或人为失误造成的。而这个新框架坚持认为，调查人员必须同时考虑计算机被黑客攻击或数据在事故发生前被操纵的可能性。通过将这些问题整合到标准调查流程中，该框架确保了网络攻击的可能性永远不会被忽视。它提供了一种结构化的方式来保存易失性数据——即那些会迅速消失的信息，例如计算机内存中的内容——以免其丢失。它还明确了不同专家的职责，确保网络安全专家从第一天起就与工程师和法律顾问并肩作战，而不是作为事后的补救措施才被请进来。

尽管这项研究提供了一个充满前景的蓝图，但作者也谨慎地指出，这是一个在受控环境中测试的概念模型，而非已准备好在每个国家立即投入使用的成品。模拟中使用的规则和数值旨在展示系统的工作原理，而非声称它们是适用于每种现实情况的完美设置。不同的运输系统、法律和组织都需要调整这些规则以适应其特定需求。研究人员承认，要使该框架取得成功，运输公司和政府必须愿意共享数据、更新日志系统并就证据处理达成统一标准。如果没有这些现实世界的变革，即使是最优秀的框架也无法发挥作用。

最终，这项工作指向了一个未来，即运输事故的调查将变得与其引发的系统一样先进。随着我们的道路、铁路和天空变得更加互联，我们用来寻找真相的工具也必须随之进化。通过像对待物理残骸一样严谨地对待数字证据，并建立处理这些证据的明确规则，调查人员可以确保他们发现的答案是准确、可靠且具有法律效力的。其目标不仅是解开“出了什么问题”的谜团，而且要以一种能够恢复人们对日常依赖系统之安全性信心的方式来完成。